Session-ID - Sicherheitslücke?

[Hans]

Hi,

wie könnte ich sowas unterbinden? Ich meine viele Webportale (acuh bekannte, z.B. web.de) benutzen Session nach diesem System...
Sollte ich auch immer die IP prüfen?

Wie lange sollte eine Session denn aktiv sein und wie kann ich das über PHP einstellen (vielleicht mit "ini_set")?

Danke,
Hans